EN JA
GBDE(8)
GBDE(8) FreeBSD System Manager's Manual GBDE(8)

名称

gbdeGeom ベースディスク暗号化 (Based Disk Encryption) のための操作と管理ユーティリティ

書式

gbde attach destination [ -k keyfile][ -l lockfile][ -p pass-phrase]

gbde detach destination

gbde init destination [ -i][ -f filename][ -K new-keyfile][ -L new-lockfile][ -P new-pass-phrase]

gbde setkey destination [ -n key][ -k keyfile][ -l lockfile][ -p pass-phrase][ -K new-keyfile][ -L new-lockfile][ -P new-pass-phrase]

gbde nuke destination [ -n key][ -k keyfile][ -l lockfile][ -p pass-phrase]

gbde destroy destination [ -k keyfile][ -l lockfile][ -p pass-phrase]

解説

注意: このコードはまだ適格な暗号使用者による多くのレビューと分析を受け取っていません、したがって、わずかに疑わしい実験機能であると見なされるべきであることを承知してください。

私たちは、現時点ではオンディスクフォーマットがレビューかバグ修正に対応して変更しないことを保証できないので、将来のために呼び出されるかもしれない dump(8)/ restore(8) ベースの移行を準備するように潜在的ユーザにアドバイスします。

gbde ユーティリティは、 gbde(4) GEOM ベースのディスク暗号化カーネル機能のための唯一の公式の操作と管理インタフェースです。 gbde ユーティリティとカーネル部分の間の相互作用は公開されたインタフェースではありません。

操作上の局面は 2 つのサブコマンドから成ります: 1 つはカーネルにおける暗号の gbde モジュール ( attach) のためのデバイスをオープンしてアタッチするものと、 1 つはデバイス ( detach) をクローズしてデタッチするものです。

管理部分は、デバイスにおいてマスタキーとロックセクタの初期化 ( init)、パスフレーズの初期化と置き換え ( setkey)、キーの無効 ( nuke) と黒くなる? (blackening) ( destroy) 関数を可能とします。

-l lockfile 引数は、ロックセレクタデータを提供するために使用されます。 -l オプションが指定されないなら、最初のセクタはこのために使用されます。

-L new-lockfile 引数は init サブコマンドで初期化されるか、または setkey サブコマンドで変更されたキーのためのロックセレクタファイルを指定します。

-n key 引数は、適用される操作が 4 つのキーのどれかを指定するために使用することができます。 1 から 4 の値は指定されたキーを選択します、0 (デフォルト) の値は“this key” (このキー) を意味します、そして、(すなわち、キーはデバイスへのアクセスを得るために使用されます) -1 の値は“all keys” (すべてのキー) を意味します。

-f filename は初期化で使用されるオプションのパラメータファイルを指定します。

代わりに、 -i オプションは、パラメータの記述があるテンプレートファイルを会話型に編集することができる、インタラクティブモードを切り換えます。

-p pass-phrase (パスフレーズ) 引数はデバイスをオープンするために使用されるパスフレーズを指定します。指定されないなら、制御端末は、パスフレーズをユーザに促進する (プロンプトをだす) ために使用されます。このオプションを使用するとコマンドが実行されている間に、たまたま ps(1) か同様のものを実行する他のユーザにパスフレーズが露呈するかもしれないことに注意してください。

-P new-pass-phrase 引数は initsetkey サブコマンドに新しいパスフレーズを指定するために使用することができます。指定されないなら、制御端末で新しいパスフレーズがユーザに促進されます。このオプションを使用するとコマンドが実行されている間に、たまたま ps(1) か同様のものを実行する他のユーザにパスフレーズが露呈するかもしれないことに注意してください。

-k keyfile 引数は、デバイスをオープンするためにパスフレーズと組み合わせて使用される (パスフレーズがコマンドラインで指定されようと、端末から入力されようと) キーファイルを指定します。キーファイルの内容とパスフレーズがともに正しい場合にだけ、デバイスはオープンされます。

-K new-keyfile 引数は、 initsetkey サブコマンドに新しいキーファイルを指定するために使用することができます。指定されないなら、キーファイルは、 (1 つが以前に使用されたとしても) 使用されません。

使用例

デフォルトパラメータを使用して、デバイスを初期化するためには:

gbde init /dev/ada0s1f -L /etc/ada0s1f.lock

暗号化されたデバイスにアタッチするためには:

gbde attach ada0s1f -l /etc/ada0s1f.lock

暗号化されたデバイスには接尾辞 .bde があるので、ファイルシステムを作成して、マウントする典型的なコマンドは次のようになるでしょう:

newfs /dev/ada0s1f.bde
mount /dev/ada0s1f.bde /secret

暗号化されたデバイスをデタッチするためには:

gbde detach ada0s1f

暗号化されたデバイスをデタッチすることは物理的にそれを取り外すことに対応することに注意してください。最初にファイルシステムをアンマウントすることを忘れないでください。

lockfile をデタッチと普通のパスフレーズを使用して 2 番目のキーを初期化するためには:

gbde setkey ada0s1f -n 2 -P foo -L key2.lockfile

マスタキーのすべてのコピーを破壊するためには:

gbde destroy ada0s1f -n -1

関連項目

gbde(4), geom(4)

歴史

このソフトウェアは、 DARPA CHATS 研究プログラムの一環として、 DARPA/SPAWAR 契約 N66001-01-C-8035 (“CBOSS”) の下で Poul-Henning Kamp と NAI Labs, the Security Research Division of Network Associates, Inc. によって FreeBSD プロジェクトのために開発されました。

作者

Poul-Henning Kamp <phk@FreeBSD.org>

バグ

暗号アルゴリズムとその総合的な設計は 10 年間以上にわたって暗号アナリストのギャングによって容赦ない攻撃は行われていません。
October 1, 2013 FreeBSD